Il flusso di installazione dei driver è la sequenza che Windows usa per verificare, caricare e configurare un driver di dispositivo prima che l'hardware possa essere utilizzato. Comprende controlli come la convalida della firma, la selezione del pacchetto, la creazione del servizio e il passaggio ai componenti del kernel o ad altri componenti di sistema correlati.
Questo flusso è importante perché i driver operano vicino al nucleo del sistema operativo e spesso ricevono un livello di fiducia elevato. Se un aggressore può influenzare il processo, potrebbe essere in grado di caricare codice dannoso, abusare di un driver vulnerabile o attivare l'esecuzione di codice con privilegi elevati come NT AUTHORITY\SYSTEM. I difensori considerano questo percorso sensibile perché può diventare un vettore di escalation dei privilegi, un meccanismo di persistenza o un modo per aggirare i normali controlli dello spazio utente. Le misure di hardening includono la limitazione di chi può installare driver, l'applicazione delle policy di firma, il monitoraggio degli eventi di caricamento dei driver e l'analisi di attività di installazione inattese attivate dall'hardware.